I årevis var det typiske bildet av ransomware krypterte filer og en løsepengekrav på skjermen. En ny taktikk beskrevet av PortalGeek endrer det manuset: ransomware uten kryptering living off the land lammes bedriftsnettverk uten å kryptere en eneste fil, ved å støtte seg på organisasjonens egne verktøy. Resultatet er det samme, en bedrift som står stille, men veien dit er vanskeligere å oppdage.

Denne artikkelen forklarer hvordan det fungerer, hvorfor det er så vanskelig å få øye på, og hva både bedrifter og personer som jobber hjemmefra bør gjennomgå.

Hvordan ransomware uten kryptering fungerer

Ifølge informasjonen som er publisert, lammes driften i et bedriftsnettverk uten å ty til filkryptering, som er det mange forsvar overvåker. I stedet for å distribuere et svært synlig ondsinnet program, utnytter angriperen verktøy som allerede finnes i miljøet: administrasjonsverktøy som PowerShell og programvare for ekstern tilgang.

Denne tilnærmingen kalles "living off the land" (leve av landskapet): inntrengeren bruker det som allerede er installert. Uten å kryptere data kan den avbryte tjenester, blokkere tilgang eller gjøre systemer ubrukelige, og påvirkningen på forretningskontinuiteten er like alvorlig. For en bedrift er det å ikke kunne operere det sentrale problemet, enten filene er krypterte eller ikke.

Hvorfor bruk av legitime verktøy gjør det vanskeligere å oppdage

Nøkkelen er at ingenting av det angriperen kjører ser rart ut ved første øyekast. PowerShell brukes daglig av systemadministratorer, og programvare for ekstern tilgang er en vanlig del av teknisk støtte. Hvis en angriper med gyldige legitimasjoner lanserer de samme verktøyene, kan aktiviteten forveksles med rutinearbeid.

Dette har flere praktiske konsekvenser:

  • Færre klassiske signaler. Et antivirusprogram som leter etter kjente ondsinnede filer har lite å blokkere når legitime programmer brukes.
  • Fokuset flyttes til legitimasjoner. Hvis tilgangen er gyldig, er spørsmålet ikke lenger "hvilken programvare er dette?", men "hvem bruker den og hvorfra?".
  • Større betydning av atferd. Å oppdage uvanlig bruk av et verktøy (på et rart tidspunkt, fra en uventet enhet) blir mer nyttig enn å oppdage en bestemt fil.

Det er ikke en trussel som løses med et enkelt produkt. Det krever lag: tilgangskontroll, synlighet og gjenopprettingsevne.

Hva det betyr for hjemmekontor og hjemmenettverk

Et bedriftsnettverk slutter ikke på kontoret. Hver bærbar PC som kobles til hjemmefra, hvert verktøy for ekstern tilgang og hvert gjenbrukte passord utvider overflaten en angriper kan komme inn gjennom. Hvis metoden avhenger av å bruke legitime tilganger, blir legitimasjonen til de som jobber eksternt en spesielt verdifull dør.

I praksis påvirker sikkerheten i hjemmenettverket bedriftens sikkerhet:

  • En ruter med fabrikkpassord eller uten oppdatert fastvare er et svakt punkt.
  • Et passord som gjentas mellom personlige og bedriftsmessige tjenester gjør det lettere for en ekstern lekkasje å ende opp med å påvirke jobben.
  • Et program for ekstern tilgang som er installert og glemt, eller uten forsterket autentisering, gir en direkte vei inn til enheten.

Den generelle konteksten har også betydning. Som vi tok opp i vår analyse om økningen i ransomware-ofre i Spania og datatyveri med AI, fortsetter trusselen å vokse og rammer både organisasjoner og personene som er koblet til dem.

Praktiske tiltak: MFA, minste privilegium, overvåking og sikkerhetskopier

Ingen av disse tiltakene er nye, men sammen reduserer de handlingsrommet betydelig for den som prøver å misbruke legitime verktøy.

  1. Multifaktorautentisering (MFA). Aktiver det på e-post, bedriftens VPN, eksternt skrivebord og i alle administrasjonspaneler. Hvis et passord lekkes, legger MFA til en viktig hindring.
  2. Minste privilegium. Hver konto bør bare ha de tillatelsene den trenger. Hvis en vanlig bruker ikke trenger å kjøre PowerShell med forhøyede rettigheter, er det bedre å begrense det.
  3. Kontroll av programvare for ekstern tilgang. Hold en oversikt over hvilke verktøy som er autoriserte, og fjern de som ikke brukes.
  4. Atferdsovervåking. Logg og gjennomgå aktiviteten til administrative verktøy, og definer varsler ved uvanlig bruk.
  5. Isolerte og testede sikkerhetskopier. Oppbevar kopier atskilt fra hovednettverket og kontroller at de kan gjenopprettes. Hvis det som blokkeres er systemer, ikke bare filer, bør du også ha en dokumentert gjenopprettingsplan.
  6. Hjemmehygiene. Endre ruternes legitimasjoner, oppdater fastvaren, bruk unike passord med en passordbehandler og hold operativsystemet oppdatert.

Konklusjon: gjennomgå konfigurasjonen din før en angriper gjør det

Ransomware uten kryptering living off the land minner om at faren ikke alltid kommer i form av en mistenkelig fil. Noen ganger kommer den med en gyldig konto og verktøy som allerede finnes på enheten din. Derfor handler forsvaret om å beskytte legitimasjoner, begrense tillatelser, overvåke atferd og sørge for at du kan gjenopprette.

Bruk noen minutter denne uken på å gjennomgå konfigurasjonen for hjemmekontor: har du MFA aktivert på nøkkelkontoene dine? Har du endret administrasjonspassordet på ruteren? Er sikkerhetskopiene dine isolerte, og har du testet dem? For å forstå problemets omfang bedre kan du lese artikkelen vår om ransomware-trender i Spania.